一周威胁综述-Cisco.PDF

2017 年7 月7 日，星期五 一周威胁综述（6 月30 日至7 月7 日） 本文概括介绍Talos 在6 月30 日至7 月7 日观察到的最常见威胁。与之前的威胁聚焦一 样，本文不进行深入分析，而是重点从以下方面总结我们观察到的威胁：关键行为特征、 感染指标，以及我们的客户是如何自动得到保护、免受这些威胁的。 在此提醒，本文中介绍的关于以下威胁的信息并不十分详尽，但所述内容截至发稿日期为止 为必威体育精装版。对以下威胁的检测和防护会根据进一步的威胁或漏洞分析进行更新。如需获取必威体育精装版 信息，请参阅FireSIGHT 管理中心、S 或ClamAV.net。 本周最常见的威胁包括： • Doc.Downloader.Generic-6332126-0 下载程序 这种文档下载程序是在跟踪Zbot 下载程序中的线索后发现的。它们依靠对OOXML 格式的轻微混淆发动攻击，OOXML 格式在Microsoft Word 中仍能成功加载，但是在 特定沙盒环境中会阻止成功运行。这种下载程序还依赖于样本本身包含的CDF 二进制 文件内极易混淆的JS 编码。大多数样本依靠重复使用十六进制字符串组合，进一步 阻止对代码进行静态分析。 • Doc.Dropper.Agent-6332127-0 Office 宏下载程序 这是一种具有混淆性的Office 宏下载程序，可利用Powershell 下载恶意可执行文件 负载。目前无法解析这些样本尝试执行下一阶段下载的主机。 • Doc.Macro.Obfuscation-6331107-0 Office 宏 恶意软件编写者将试图混淆Office 文档中保存的宏代码来阻止检测或从表面上隐藏代码 的意图。该签名会检测最近广泛使用的一种技术，通过使用大量算术运算来隐藏代码。 • Win.Phishing.NikoLata-6332081-0 Web 诈骗网络钓鱼 NikoLata 应用可反复将打开的浏览器窗口重定向到攻击者恶意控制的 http://bigpicturepop[.]com/redirect/57a764d042bf8 on the benign site bigpicturepop[.]com 站点。我们发现这些重定向会解析到色情站点、多个技术诈骗站 点和其他站点。 • Win.Ransomware.Nyetya-6331387-0 勒索软件 Nyetya 是一种蠕虫病毒破坏性恶意软件，通过利用EternalBlue 和EternalRomance 的Psexec、WMI 和SMB 进行传播。有关该威胁的更多信息，请参阅我们的博文： /2017/06/worldwide-ransomware-variant.html 和 /2017/07/the-medoc-connection.html 。 • Win.Trojan.Fileinfector-67 蠕虫病毒 Win.Trojan.Fileinfector-67 是一种文件感染病毒，通过将其代码注入文件系统中任意 类型的文件进行传播。 • Win.Trojan.Fynloski-6332091-0 木马病毒 Fynloski 是一种木马病毒，可用于将其他恶意软件分发到受感染的计算机。这些样本 是自解压cab 存档，并且释放的二进制文件会继续产生混淆。实际编码以mov 指令解 包在堆栈上。 • Win.Trojan.Siggen-6261194-0 木马 这是一种.Net 恶意软件，其中包含反侦测虚拟环境技术。如果受害者计算机有网络连 接并且不是经过检测的环境，则该木马可将自己注入另一个程序并尝试与CnC 服务器 通信， 威胁 Doc.Downloader.Generic-6332126-0 感染指标 注册表键 • 不适用 互斥体 • Local\ 10MU_ACBPIDS_S-1-5-5-0-61147 • Local\ 10MU_ACBPIDS_S-1-5-5-0-58021 • \Sessions\ 1\BaseNamedObjects\Local